一個程序員，憑一己之力，刪除自家公司數(shù)據(jù)庫，市值縮水近 24 億元，直接經(jīng)濟損失達到 1.5 億元。這不是段子，是真實發(fā)生在我們身邊的故事。該公司研發(fā)中心工作人員通過其個人 API 登錄公司內(nèi)網(wǎng)的跳板機后，對生產(chǎn)環(huán)境進行了惡意破壞，導(dǎo)致旗下用戶小程序全線宕機，300 多萬商戶的線上業(yè)務(wù)全部停止，歷時一周才最終恢復(fù)數(shù)據(jù)。這個案例反映出一些企業(yè)對于運維權(quán)限的管控存在巨大漏洞，如此危險的刪庫操作，竟然在沒有二次確認的情況下由一個人就可完成全程操作。

隨著日常生產(chǎn)、生活對信息化系統(tǒng)依賴程度逐漸增加，近些年運維事故層出不窮。而由于運維過程中賬號共用，范圍難以控制，密碼難以統(tǒng)一管理，人員權(quán)限分工不明確，導(dǎo)致事故發(fā)生后審計追查非常困難。

另一方面，我國針對數(shù)據(jù)安全逐步出臺了一系列法律法規(guī)，對企業(yè)提出了嚴(yán)格的安全合規(guī)要求。例如網(wǎng)絡(luò)安全法要求日志留存不少于 6 個月，必須采取網(wǎng)絡(luò)安全措施；《等?！?.0 要求企業(yè)必須對用戶身份進行鑒權(quán)，如用戶訪問的權(quán)限控制，最小化的授權(quán)原則，運維操作完整審計，定期進行數(shù)據(jù)備份等；運營商需滿足電信行業(yè)的規(guī)定；證券、金融行業(yè)需滿足銀監(jiān)、證監(jiān)相關(guān)要求；上市公司要滿足企業(yè)內(nèi)控要求。

面對運維過程中的重重挑戰(zhàn)，業(yè)內(nèi)早已有多重探索。其中沉淀最深的便是運維堡壘機。運維堡壘機主要包含兩方面功能：運維管理和審計，它可以對運維人員的運維操作進行統(tǒng)一身份認證、統(tǒng)一資產(chǎn)管理、統(tǒng)一訪問授權(quán)和全程運維審計。

2000 年時，軟件堡壘機出現(xiàn)了，它解決了硬件堡壘機的缺陷，但云時代的到來，又對軟件堡壘機提出了一系列挑戰(zhàn)：

• 第一個挑戰(zhàn)是多云架構(gòu)。云時代中目標(biāo)資產(chǎn)發(fā)生了很大變化，企業(yè)IT 資產(chǎn)快速云化。尤其是在當(dāng)前非監(jiān)管行業(yè)、非金融行業(yè)中云化的進展很快。而隨著業(yè)務(wù)快速拓展，用戶總會面臨一些安全合規(guī)要求。這時候用戶會發(fā)現(xiàn)自己的資產(chǎn)越來越分散，管理起來越來越困難?；旌显频某掷m(xù)推廣也使得 IT 基礎(chǔ)設(shè)施的管理復(fù)雜度越來越高，企業(yè)的基礎(chǔ)設(shè)施包含傳統(tǒng)的 KVM、私有云、公有云等不同類型。堡壘機需要適配、納管不同的 IT 組件，并進行統(tǒng)一安全審計。
• 第二個挑戰(zhàn)是資產(chǎn)管理方式發(fā)生改變。傳統(tǒng)堡壘機通常是手工輸入，或者通過文本導(dǎo)入、掃描 IP 導(dǎo)入。而由于云時代網(wǎng)絡(luò)復(fù)雜度高，傳統(tǒng)堡壘機的網(wǎng)絡(luò)部署方式面臨巨大挑戰(zhàn)。云時代的資產(chǎn)通常分布在不同的云、不同的 VPC、不同的子網(wǎng)下面，堡壘機如何才能更好的適配這種網(wǎng)絡(luò)環(huán)境？
• 第三個挑戰(zhàn)是需要具備成熟的高可用容災(zāi)部署架構(gòu)。高可用的分布式技術(shù)為支撐平臺正常運行提供了關(guān)鍵技術(shù)支持，容災(zāi)系統(tǒng)在斷電、通訊失敗及軟硬件錯誤時，依然要保證用戶數(shù)據(jù)的安全，并提供不間斷的應(yīng)用服務(wù)。堡壘機需要提供持續(xù)的可用性，并快速進行容災(zāi)切換，保證企業(yè)內(nèi)部統(tǒng)一的運維能力不間斷，有效支撐企業(yè)業(yè)務(wù)正常開展。
• 第四個挑戰(zhàn)是需要支持水平擴容。目前企業(yè)虛擬資產(chǎn)是動態(tài)變化的，隨著后續(xù)業(yè)務(wù)的增長，資產(chǎn)數(shù)量也將持續(xù)增長。龐大且快速增長的 IT 資產(chǎn)需要堡壘機在資產(chǎn)納管方面更具可擴展性，以應(yīng)對突發(fā)性業(yè)務(wù)需求。

• 第一，統(tǒng)一身份認證。用戶的角色、權(quán)限要進行統(tǒng)一的管理，實現(xiàn)三權(quán)分立、各司其職；支持短信、Google認證、LDAP、AD域等多種認證方式，便于對接用戶已有運維方式；支持雙因子驗證；支持批量用戶管理，如通過IAM接口批量導(dǎo)入子用戶，通過文件批量導(dǎo)入用戶，或是通過用戶組進行用戶的分類管理。
• 第二，統(tǒng)一資產(chǎn)管理。包含賬號、模塊化管理、支持密碼、公私鑰賬號、用戶無感知的SSO單點登陸，資產(chǎn)也支持批量導(dǎo)入和分組管理，可以根據(jù)主機組進行授權(quán)。資產(chǎn)的賬號支持自動改密，用戶通過設(shè)計改密計劃，定期定時進行執(zhí)行。密碼改后用戶無感知，可以自動登錄，解決了賬號管理困難的問題，減輕了運維管理工作量。
• 第三，統(tǒng)一訪問授權(quán)。用一句話解釋就是誰在什么時間，從哪個地方訪問了哪些機器，以及他在這臺機器上做了什么，沒做什么，做過什么。通過訪問授權(quán)都可以確切地知道這個人是誰。
• 第四，權(quán)限管理。堡壘機的訪問策略主要包含IP限制、訪問時間段限制、高位命令限制、二次授權(quán)等。通過這些規(guī)則限制可以保證整個運維過程中，用戶必須在被分配的權(quán)限下進行操作，不會出現(xiàn)越權(quán)操作的情況，從而保證整體運維工作的安全性。

最后是運維全程審計。運維審計是保證運維安全的最后一道防線，它通過全程的運維審計，可以快速定位問題，確定責(zé)任人。這有助于快速解決問題，恢復(fù)正常服務(wù)。全程運維審計主要通過全程錄像、指令全程記錄和命令檢索三種方案實現(xiàn)。全程錄像的文件要可下載、可備份、可播放；指令全程記錄主要針對字符型的操作；命令檢索需要支持命令級別的全文檢索，這樣出現(xiàn)問題時就可以進行相關(guān)命令集的查詢、檢索，快速定位問題所在。